令和6年度 秋期 システム監査技術者試験 午前Ⅱ 問18
テクノロジ／セキュリティオープンリダイレクトを悪用した攻撃に該当するものはどれか。
出典：令和6年度 秋期 システム監査技術者試験 午前Ⅱ 問18
- アHTMLメールのリンクを悪用し，HTMLメールに，正規のWebサイトとは異なる偽のWebサイトのURLをリンク先に指定することによって，リンクをクリックした利用者を偽のWebサイトに誘導する。
- イWebサイトにアクセスするとurl中のパラメータで指定された他のWebサイトに遷移する機能を悪用し，利用者を偽のWebサイトに誘導する。
- ウインターネット上の不特定多数のホストからDNSリクエストを受け付けて応答するDNSキャッシュサーバを悪用し，Webサーバに大量のDNSのレスポンスを送り付け，リソースを枯渇させる。
- エ設定の不備によって，正規の利用者以外からの電子メールやWebサイトへのアクセス要求を受け付けるプロキシを悪用し，送信元を偽った迷惑メールの送信を行う。
正解：イ
解説
オープンリダイレクトとは，Webサイトが備える，URL中のパラメータで指定された別のサイトへ遷移させる機能（正規のリダイレクト機能）を悪用し，利用者を偽のWebサイトへ誘導する攻撃手法である。攻撃者は，正規サイトのドメインを含む一見安全そうなURLに悪意あるリダイレクト先を仕込んで利用者に送付し，フィッシングサイトなどへ誘導する。
選択肢ごとの解説
- ア誤り。HTMLメールのリンクに偽のWebサイトのURLを直接指定してリンク先を誘導する手口は，フィッシングメールの説明であり，オープンリダイレクトの悪用とは異なります。
- イ正しい。Webサイトにアクセスするとurl中のパラメータで指定された他のWebサイトに遷移する機能を悪用し，利用者を偽のWebサイトに誘導することが，オープンリダイレクトを悪用した攻撃です。
- ウ誤り。DNSキャッシュサーバを悪用して大量のDNSレスポンスを送り付ける手口は，DNSリフレクション（DNSアンプ）攻撃の説明です。
- エ誤り。設定不備のプロキシを悪用して送信元を偽った迷惑メールを送信する手口は，オープンプロキシの悪用の説明です。